B 08. Brief met reactie van het college op het intern verslag van bevindingen 2020 B&W d.d.240621

Burgemeester en Wethouders

Retouradres: Postbus 9100, 2300 PC Leiden Aan de leden van de Raad

Datum 23 juni 2021 Ons kenmerk Z/21/3264801 Onderwerp Collegereactie op intern en extern rapport van bevindingen 2020

Gemeente Leiden Bezoekadres Stadskantoor Bargelaan 190 Postadres Postbus 9100 2300 PC Leiden Telefoon 14071 E-Mail Website www.leiden.nl/gemeente

Contactpersoon Luuk de Leede Doorkiesnummer 14071

Geachte leden van de Raad, Hierbij treft u aan het intern Verslag van bevindingen “Uitkomsten Leiden in control 2020”. Het verslag van bevindingen bevat de uitkomsten van de interne controle van de processen, ITsystemen en jaarrekening over begrotingsjaar 2020. Dit is uitgevoerd op basis van het door de raad vastgestelde Algemeen Controleplan 2020. Tevens ontvangt u hieronder de reactie van het college op de belangrijkste punten van dit verslag. Daarnaast reageren wij in deze brief op de meest relevante bevindingen en aanbevelingen van de externe accountant Deloitte, zoals die zijn opgenomen in hun conceptaccountantsverslag 2020. Dat is een concept omdat de controle nog niet definitief is afgerond. Rond 24 juni deelt Deloitte dit concept met de Commissie voor de Rekeningen. Het definitieve rapport ontvangt uw raad via de griffie uiterlijk 6 juli, wanneer de controle definitief is afgerond. We gaan hieronder in op de inhoud van deze verslagen en de belangrijkste acties die daaruit voortkomen voor het college. Voor het negende jaar op rij komt het intern verslag van bevindingen uit. Hiermee geeft de organisatie vorm aan een proces van continu beoordelen en verbeteren van de interne processen. Een wezenlijk element in de controle is de vaststelling in welke mate eerdere aanbevelingen zijn of worden opgevolgd.

Ook het afgelopen jaar hebben we op een aantal onderdelen stappen kunnen zetten om meer in control te komen. Verloop totstandkoming jaarrekening en controle externe accountant Deloitte merkt hierover op: Ook dit jaar was sprake van een eindejaarscontrole op afstand als gevolg van het coronavirus. Wederom hebben wij op afstand van elkaar, op digitale wijze gewerkt. …... Wel kunnen we concluderen dat wij op alle vlakken constructief hebben samengewerkt met de medewerkers van uw gemeente en de betrokken medewerkers van Servicepunt71. De interne accountant en ook de organisatie delen deze mening. De Commissie voor de Rekeningen is geregeld op de hoogte gehouden van de (spoedige) voortgang. Het is ook dit

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

2/9

jaar gelukt om veel punten, waarvan bekend was dat deze mogelijk verschillen van inzicht met zich mee zouden kunnen brengen, vooraf af te stemmen met Deloitte. We zijn verheugd dat het jaarrekeningproces, hoewel altijd hectisch, de afgelopen twee jaren weer een beheerst proces is geworden, mede door een goede samenwerking en communicatie tussen organisatie, Servicepunt71 en de externe accountant.

Opvolging aanbevelingen intern verslag van bevindingen Wij hechten aan een adequate opvolging van de bevindingen zoals die in het intern verslag van bevindingen zijn opgenomen. De interne audit functie rapporteert conform afspraak met de raad over een top acht aan focusgebieden, waar een groot deel van de interne controle aan wordt gewijd. De scores zijn als volgt: Top 8 focusgebieden 2020

RvB20

ML20 RvB19

Mate in control proces (Europese) aanbestedingen Mate in control proces WMO Mate in control rondom projecten (projectcontrol) Mate in control M&O gebruik, integriteit, frauderisico’s Mate in control IT-beheersing en informatiebeveiliging / borging privacygevoelige informatie Mate in control proces Jeugdhulp Mate in control proces inkomende subsidies Mate in control rechtmatigheid i.k.v. COVID-19

-

rood = onvoldoende oranje = matig tot nog niet voldoende groen = voldoende of goed

Wij zijn zeer tevreden met de doorgevoerde verbeteringen en met de bevestiging door de interne audit functie daarvan. Drie onderdelen gaan van matig naar voldoende: Wmo, Inkomende subsidies en rechtmatigheid i.k.v. COVID-19 Voor een korte reactie op de bevindingen t.a.v. de punten uit de top acht focusgebieden verwijzen wij naar de bijlage bij deze brief. Naast de bevindingen en aanbevelingen over de top acht focusgebieden, bespreekt de interne audit functie ook de overige bevindingen per organisatieonderdeel met de Mt’s van deze onderdelen. Zo blijft de aandacht voor het verbeteren van de processen actueel. Na negen jaar in control is het goed om te kunnen constateren dat de interne beheersing op het gebied van rechtmatigheid en getrouwheid bij alle onderdelen van een voldoende niveau is volgens de interne audit functie. Dat neemt niet weg dat ten aanzien van een aantal processen is geconstateerd dat de mate van interne beheersing verbeterd dient te worden. Voor een weergave van de belangrijkste bevindingen en aanbevelingen van de interne accountant verwijzen wij naar het bijgevoegde verslag.

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

3/9

Accountantsverslag (verslag van bevindingen) van de externe accountant (Deloitte) Inleiding Op grond van artikel 200 Gemeentewet dient een gemeente de Jaarstukken samen met de controleverklaring en het verslag van bevindingen van de accountant voor 15 juli in het jaar volgend op het verantwoordingsjaar in te dienen bij de provincie. De externe accountant brengt daarom jaarlijks een accountantsverslag met bevindingen aan u uit. Deze reactie is opgesteld op basis van een concept-verslag van Deloitte, dat rond 24 juni vertrouwelijk zal worden gedeeld met de Commissie voor de Rekeningen. Het definitieve rapport ontvangt uw raad naar verwachting uiterlijk 6 juli, wanneer de controle definitief is afgerond. Als er in het definitieve rapport nog significante wijzigingen worden aangebracht, zullen wij daar separaat bij u op terugkomen. Zoals hierboven al is aangegeven is de samenwerking en afstemming volgens alle betrokken partijen gedurende de controleperiode prima verlopen, ondanks de Corona-beperkingen.

Bevindingen De bevindingen in dit verslag overlappen deels met de bevindingen van de interne audit functie. Toch zijn er enkele aanvullende punten, waarop wij hieronder ingaan. -

Financiële positie De accountant constateert evenals over 2019 een afname van de vermogenspositie. Reactie: De genoemde afname is het gevolg van bewuste keuzes uit deze raadsperiode: we investeren in de stad. Het onderzoek van Deloitte uit 2019 naar de financiële positie liet dat effect ook zien. Op 10 juni jl. is daar aan de hand van een geactualiseerde cijfers vanuit het ambtelijk apparaat verder over doorgesproken in de Commissie voor de Rekeningen. Bij de Kaderbrief 2021-2025 komen we daar bij u op terug.

-

Voorspellende waarde begroting De accountant merkt op dat het verschil tussen baten en lasten (voor verrekeningen met reserves) begroot versus realisatie erg groot is (€ 48 mln. versus ca. € 8 mln.) en dat dit vraagt om ‘analyse en maatregelen om de voorspellende waarde van uw begroting en de uitvoeringskracht van de organisatie dichter bij elkaar te brengen’. Reactie: Wij herkennen het in de begroting aanwezige, zogenaamde planningsoptimisme. Dat zien we onder andere (maar zeker niet alleen) bij projecten in het ruimtelijk domein. We hebben verbeteringen doorgevoerd om betere schattingen te kunnen maken, maar het blijft een uitdaging gezien de vele factoren die (de uitvoering van) een planning beïnvloeden en het feit dat niet alles door de gemeente beïnvloedbaar is. Voor de reguliere exploitatie-uitgaven waren verschillen tussen begroting en realisatie altijd minder aan de orde, maar afgelopen jaar zien we die wel. De oorzaken hiervan zijn divers. * Voor een deel heeft de afwijking een administratieve oorzaak: in de decemberwijziging worden afwijkingen van de begroting wel gemeld, maar niet meer in de begroting verwerkt (bijvoorbeeld de bekende hogere inkomsten op de BUIG-budgetten).

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

4/9

* Daarnaast is dit jaar – mede i.v.m. corona- sprake van een aantal rijksinkomsten dat pas laat bekend werd en die niet direct in 2020 is uitgegeven, bijvoorbeeld in het sociaal domein. * Verder zijn er uitgaven die wel degelijk preciezer geraamd zouden kunnen worden en waarvoor de begroting al bij de 2e voortgangsrapportage aangepast zou kunnen worden, zij het met enige terughoudendheid. Voorbeeld hiervan is het domein beschermd wonen, waarbij de uitgaven tot laat in het jaar niet precies in te schatten zijn, omdat we daarbij mede afhankelijk zijn van onze partners in de regio. Wij zullen de grotere afwijkingen over 2020 nog eens goed tegen het licht houden, om te bepalen op welke wijze we deze afwijkingen in de komende jaren kunnen voorkomen, dan wel tijdig hierover kunnen rapporteren en tijdig in de begroting kunnen wijzigen, waardoor het aantal grote afwijkingen bij de jaarstukken zou kunnen worden teruggebracht. -

Preventieve signalering kredietoverschrijdingen Deloitte adviseert bij de aanschaf van een nieuw financieel systeem aandacht te besteden aan het inrichten van een procesmatige beheersing van kredieten en de mogelijkheid tot het preventief bewaken van kredietoverschrijdingen. Reactie: Het is waar dat het huidige systeem een dergelijke preventieve bewaking niet faciliteert. Echter de maatregelen op het gebied van financiële beheersing van de projecten zijn adequaat en blijft vooral mensenwerk. Wel zullen wij bij de inrichting van het nieuwe systeem rekening houden met deze aanbeveling.

-

Proces memoboekingen De beheersmaatregelen zijn bij memoboekingen niet zodanig ingericht, dat hierop kan worden gesteund door de accountant(s). Daardoor zijn aanvullende controles noodzakelijk. Voor het proces memoriaalboekingen adviseren zij aanvullende maatregelen. Reactie: Bij de memoriaal boekingen vindt controle plaats door één functionaris. Deloitte adviseert een tweede(lijns) controle toe te passen. Wij hebben hierover overleg gevoerd met SP71 om deze controle op een efficiënte manier in te richten. Vooralsnog gaan we ervan uit dat de financiële bewaking door onze financiële adviseurs de belangrijkste risico’s op dit punt mitigeert. Bij de invoering van het nieuwe financieel systeem wordt opnieuw bezien hoe we hier vorm aan kunnen geven, zodat een gegevensgerichte controle niet meer nodig is.

-

Inkopen risico bij < 50.000 / contractenregister Deloitte wijst net als vorig jaar op het onrechtmatigheidsrisico bij inkopen < € 50.000 omdat betrokkenheid van inkoop hierbij niet verplicht is en omdat het contractenregister nog niet volledig is. Reactie: Vorig jaar hebben wij hierop gereageerd met de melding dat wij zouden onderzoeken op welke wijze wij doelmatig met dit risico kunnen omgaan. Vooralsnog heeft dat niet geleid tot een definitieve afspraak hoe we hiermee omgaan. We nemen dat nu mee bij de invoering van het nieuwe systeem. Tot die tijd houden we het bij de jaarlijkse gegevensgerichte controle achteraf. Het risico is aanwezig maar wordt ook beperkt door het sterk toegenomen bewustzijn rond de plicht tot aanbesteding. Overigens zijn wij verheugd te zien dat het bedrag aan rechtmatigheidsfouten de afgelopen jaren flink is gedaald.

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

5/9

-

Voorspellende waarde MJOP’s (meerjarenonderhoudsplannen) Deloitte schrijft in hun concept-verslag: ‘het opstellen van beheerplannen voor de volgende planperiode (vanaf 2022). Wij adviseren uw organisatie om in de actualisatie van de beheerplannen rekening te houden met het onderhoud dat is doorgeschoven vanuit het oude plan en met het saldo dat nu nog in de voorziening zit, en waar nodig de jaarlijkse dotatie daarop aan te passen.’ Zij constateren dat de geplande uitgaven niet gerealiseerd worden, waardoor het risico bestaat dat de voorzieningen te hoog worden. Reactie: In de nieuwe MJOP’s, die inmiddels zijn geactualiseerd is rekening gehouden met het doorgeschoven onderhoud en de mogelijk lagere dotatie. Wij zullen de ontwikkelingen op dit punt scherp blijven volgen, mede gezien de kansen die dit biedt om de eventueel vrijvallende middelen elders in te zetten.

-

Advies t.a.v. rechtmatigheidsverantwoording Deloitte doet in het concept-accountantsverslag een aantal aanbevelingen voor de invoering van de rechtmatigheidsverantwoording met ingang van 2021 of 2022. Dan zal B&W zelf een uitspraak moeten doen of er rechtmatig is gehandeld. De externe accountant toetst die uitspraak dan. Het college heeft inmiddels het Algemeen Controleplan 2021 vastgesteld, met hierin verwerkt de komst van de rechtmatigheidsverantwoording. De aanbevelingen van Deloitte zijn hierin ter harte genomen.

-

Betrouwbaarheid en continuïteit van de automatiseringsomgeving Deloitte geeft hierover in het concept-verslag aan: ‘….. blijkt dat binnen de IT omgeving ruimte is voor verbetering. De belangrijkste aandachtspunten hebben betrekking op het rechtenbeheer, specifiek op de periodieke zichtbare interne controle op de generieke (hoge rechten) accounts binnen de applicaties en de beveiliging van toegang en rechtenbeheer van de onderliggende databases. Voor onze inhoudelijke bevindingen verwijzen wij u kortheidshalve naar onze Boardletter 2020’. Reactie: Het rechtenbeheer voor applicaties en onderliggende databases acht het college van groot belang vanwege de toenemende afhankelijkheid van IT voor de voortgang van de primaire processen van de gemeente, maar ook vanwege de privacywetgeving. De gehele organisatie rond Informatievoorziening en IT is de afgelopen jaren overgeheveld naar Servicepunt71. Inzet daarbij was en is een verdergaande professionalisering, dus ook op dit gebied. Op veel onderdelen van Informatievoorziening en IT zetten we in op verbeteringen in de werkprocessen. Dat verbeterproces krijgt inmiddels gestalte en zal de komende jaren worden voortgezet.

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

6/9

Tot slot Wij stellen tevreden vast dat er veel signalen zijn die aangeven dat we qua bedrijfsvoering op de goede weg zijn: voldoende in control op de belangrijkste processen, een goedkeurende controleverklaring op getrouwheid en rechtmatigheid en diverse verbeteracties aan de gang, soms meerjarig. Tegelijkertijd realiseren we ons de tijdelijkheid van het ‘in control’ zijn en zijn we alert op de risico’s die een goed verloop van onze processen bedreigen. Dat vergt continu tijd en aandacht van onze organisatie en daarom gaan we daar - vooral in deze tijd – heel bewust mee om. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Burgemeester en Wethouders van Leiden, de Secretaris, de Burgemeester,

Aansluitende bijlage: Bijlage reactie van het college op top acht focusgebieden 2020

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

7/9

Bijlage reactie van het college op top acht focusgebieden 2020 Intern verslag van bevindingen Op onderstaande bevindingen van de interne audit functie reageren wij kort. Bevinding in intern verslag van bevindingen

Reactie college

Aanbestedingen (“oranje”, was: “oranje”) Niet naleven van Europese aanbestedingsregels: financiële rechtmatigheidsfout 2020 € 0,9 miljoen (2019: € 1,1 miljoen, 2018: € 3,8 miljoen). Verdere uitbouw van goede contractregistratie en bewustwording en kennis in de organisatie blijven noodzakelijk. Vorm geven aan team toezichthouders rechtmatigheid zorgleveranties.

Het college is tevreden met de verdere daling van het bedrag aan onrechtmatigheid, maar blijft aandacht houden voor dit onderwerp. Het kennisniveau in de organisatie is inmiddels op een goed niveau, net als het bewustzijn van de noodzaak van een goed aanbestedingstraject. Nog een punt van aandacht blijft het vinden van een efficiëntere manier om de interne beheersing/controle hierop te uit te voeren. Vanuit de pilot digitale audit zijn hierin wat efficiëntere methodes naar voren gekomen en deze zullen we ook meenemen bij de invoering van het nieuwe purchase-to-pay-systeem.

Wmo (“groen” was: “oranje”) De interne audit functie constateert de onzekerheden sterk zijn afgenomen door verbeteringen in de interne controles. Overige aanbevelingen: - controle aanpak 2020 in stand houden; - opvolging geven aan aanbevelingen n.a.v. externe toetsing Pgb; - vorm geven aan werkzaamheden toezichthouders Wmo.

In 2020 heeft de gemeente voor de Pgbbestedingen een adequate interne controle uitgevoerd. Het college is zeer tevreden met de geringe onzekerheid op deze post. Deze controle zullen we conform advies handhaven.

Projectcontrol (“groen” was: “groen”) Er zijn belangrijke verbeteringen aangebracht op het gebied van projectcontrol. O.a. ten aanzien van de formatie planning en risicomanagement, beheersing planningsoptimisme, planmatig werken (toolbox) en archivering. Aandacht blijven houden voor aansluiting uren tijdschrijfsysteem en financiële administratie.

Het college is verheugd dat de Interne Audit Functie constateert dat het verbeterplan binnen het projectbureau heeft geleid tot een verder betere basis voor beheersing van projecten. De komende jaren zal dat verder worden uitgebouwd en verfijnd.

De andere twee aanbevelingen zullen wij eveneens opvolgen, in nauw overleg met de interne en de externe accountant.

Ten aanzien van de aansluiting van de uren zullen we onderzoeken op welke manier we hier doelmatig vorm aan kunnen geven.

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

8/9

Bevinding in intern verslag van bevindingen

Reactie college

Misbruik en oneigenlijk gebruik, integriteitsen frauderisico’s. (“groen”, was “groen”) Geen fraudegevallen. Integriteit is onderdeel van traject Juridische Kwaliteitszorg. Bespreek frauderisico-analyse minstens een keer per jaar in clusters.

De taak m.b.t. invoering van duurzaam integriteitsmanagement is expliciet in de organisatie belegd, via het traject Juridische Kwaliteitszorg. O.a. via die weg besteedt de organisatie er op een systematische manier aandacht aan. De frauderisico-analyse zullen we elk jaar actualiseren en in de clusters bespreken. Het college hecht groot belang aan dit punt. De professionalisering van de IT Governance en informatiebeveiliging is in 2016 ingezet en de jaren daarna versterkt voortgezet binnen het programmaplan Versterken Regionale ISamenwerking (VRIS). De opvolging van aanbevelingen maken onderdeel uit van een gestructureerde aanpak de informatiebeveiliging en IT beleid op een hoger plan te brengen.

Informatiebeveiliging en IT-beheersing (“oranje” was: “oranje”) De interne audit functie heeft een aantal aanbevelingen. Rode draad daarin is:  Vergroot de aandacht (intern en extern) op informatiebeveiliging.  Systematisch sturen op risico’s in processen en systemen in samenwerking met Servicepunt71. Borging privacygevoelige informatie (“groen” was oranje) Het privacyprogramma kent een looptijd van twee tot drie jaar. De organisatie is in het beginstadium, nu ongeveer een half jaar onderweg en ligt op koers. Er wordt systematisch gewerkt aan verbeteringen ten behoeve van het bereiken van een hoger ‘volwassenheidsniveau’.

In 2020 is een nulmeting uitgevoerd als startpunt van het privacyprogramma. Deze biedt voldoende houvast voor de lijn, in samenwerking met en geadviseerd door de specialisten van Servicepunt71, voor concrete acties om de komende twee jaren verdere voortgang te boeken op dit terrein. Hierbij betrekken we de aanbevelingen van de interne audit functie.

Jeugdhulp (“groen” was: “groen”)

Het college is verheugd te zien dat het proces van de verantwoordingen Jeugd goed blijft lopen, hoewel eerdere oplevering vanuit TWO gewenst is.





Zorg dat bij het periodiek overleg met de uitvoeringsorganisatie TWO ook iemand met een auditachtergrond betrokken is. Organiseer een structurele controle op de Pgb’s van SVB, omdat daar nog de goedkeurende controleverklaring niet wordt meegeleverd.

Over de inrichting van het audit-aspecten bij het periodiek overleg treden we in overleg met de interne accountant om dit zo doelmatig mogelijk in te richten. T.a.v. de onzekerheden bij het SVB (Pgb’s) is het de verwachting dat dit nog jaren gaat duren. We gaan organiseren dat we deze onzekerheden structureel met aanvullende controles zelf kunnen wegnemen.

Datum

23 juni 2021

Kenmerk

Z/21/3264801

Pagina

Gemeente Leiden

9/9

Bevinding in intern verslag van bevindingen

Reactie college

Proces inkomende subsidies (“groen” was: “oranje”) Bevindingen IAF: het proces van inkomende subsidies staat goed op de rails. Er is behoefte aan nog duidelijker richtlijnen. Tevens moet het bewustzijn omhoog van hoe te handelen bij een subsidieaanvraag,

Het college is tevreden met de vooruitgang die op dit onderwerp is geboekt. In 2021 is het proces opnieuw tegen het licht gehouden en zijn de beheersmaatregelen met alle betrokkenen nog beter in kaart gebracht.

Eenduidige en volledige (financiële) vastlegging en registratie van documenten is niet overal aanwezig en financiële afhandeling kan in die gevallen beter. Rechtmatigheid i.k.v. COVID-19 (“groen” was: “oranje”) De interne audit functie beveelt aan:  Draag zorg dat in overleg met Deloitte in 2021 duidelijk komt over de afwikkeling van de TOZO regeling.  Leg afwijkende afspraken met zorgaanbieders i.v.m. COVID-19 vast . Volg hierbij de landelijke richtlijnen en toets deze (steekproefsgewijs).  Maak inzichtelijk welke keuzes zijn gemaakt rondom verleende subsidies en waarom bepaalde subsidies wel of niet anders worden vastgesteld dan initieel verleend.  Zorg ook voor 2021 voor duidelijkheid rondom het normenkader en toetsbare voorwaarden voor steunmaatregelen vanuit de gemeente.

Tevens is beoordeeld of er andere afspraken zouden moeten worden gemaakt over organisatie, taken, verantwoordelijkheden en rollen. Het tweede halfjaar 2021 vindt daarover besluitvorming plaats.

Deze aanbevelingen nemen wij ter harte. Niet alleen vanuit het oogpunt van getrouwheid en rechtmatigheid achten wij dit van groot belang, ook voor een transparante informatievoorziening naar de gemeenteraad is het belangrijk deze afspraken en gevolgen van COVID-19 goed in beeld te hebben. Dat is over 2020 gelukt, en dat zal ook in 2021 moeten gebeuren.